DVHMA

Damn Vulnerable Hybrid Mobile App（DVHMA）是一款故意包含漏洞的混合移动应用（适用于 Android）。其目的是让安全专业人员能够合法地测试他们的工具和技术，帮助开发者更好地理解在安全开发混合移动应用时的常见陷阱。

动机与范围

开发此应用旨在研究开发混合应用（例如使用 Apache Cordova 或 SAP Kapsel）时的安全隐患。目前，主要焦点是深入理解利用 JavaScript 到 Java 桥接的注入漏洞。

安装

前提条件

我们假设您已安装：

• Android SDK（https://developer.android.com/sdk/index.html）和
• Apache Cordova（https://cordova.apache.org/），版本 8.0.0（更高版本可能也可用）

此外，我们假设您对 Apache Cordova 的构建系统有基本了解。

构建 DVHMA

设置环境变量

export ANDROID_HOME=<Android SDK Installation Directory>
export PATH=$ANDROID_HOME/tools:$PATH
export PATH=$ANDROID_HOME/platform-tools:$PATH

编译 DVHMA

cd DVHMA-Featherweight
cordova plugin add ../plugins/DVHMA-Storage
cordova plugin add ../plugins/DVHMA-WebIntent 
cordova platform add android
cordova compile android

在模拟器中运行 DVHMA

cordova run android 

团队成员

此应用的开发始于 ZertApps 项目。ZertApps 是由德国联邦教育与研究部资助的合作研究项目。目前，该应用由英国谢菲尔德大学的 软件保证与安全研究团队 开发和维护。

DVHMA 的核心开发者是：

• Achim D. Brucker
• Michael Herzberg

许可证

本项目采用 Apache 2.0 许可证。

SPDX-License-Identifier: Apache-2.0

主仓库

此项目的主 Git 仓库由 软件保证与安全研究团队 托管于 https://git.logicalhacking.com/DASCA/DVHMA/。

出版物

• Achim D. Brucker 和 Michael Herzberg。 关于混合移动应用的静态分析：Apache Cordova 现状报告。 载于《工程安全软件系统国际研讨会》（ESSoS）。 计算机科学讲义 (9639)，第 72-88 页，Springer-Verlag，2016。 https://www.brucker.ch/bibliography/abstract/brucker.ea-cordova-security-2016 doi：10.1007/978-3-319-30806-7_5